← Centro assistenza

Consenso e privacy

Come ROASaurus gestisce il consenso ai cookie, i dati dei clienti e le richieste GDPR.

ROASaurus funziona sul tuo negozio come tuo responsabile del trattamento. Sei tu a decidere se serve il consenso del visitatore. Quando un visitatore rifiuta, non riceve alcun visitor id, quindi i suoi clic sugli annunci e le sue visite non vengono collegati a lui e i suoi eventi del browser non vengono inviati alle piattaforme pubblicitarie. L’ordine pagato viene comunque inviato server-side con i dati dell’ordine sottoposti ad hash, come spiegato qui sotto.

L’impostazione del consenso

Ogni negozio ha un’impostazione Consent in Store settings:

• Respect visitor consent (l’impostazione predefinita, obbligatoria nell’UE). ROASaurus controlla il consenso marketing del visitatore prima di tracciarlo.
• Strict. Non viene inviato nulla e nulla viene letto o scritto sul dispositivo finché il visitatore non dà il consenso, e il server scarta qualsiasi evento del browser senza consenso esplicito. Se il visitatore acconsente in seguito, viene inviata solo la visualizzazione di quella pagina.
• Always track. Solo per i negozi che vendono dove il consenso non è richiesto.

La misurazione anonima è disattivata per impostazione predefinita. Quando la attivi, i visitatori che hanno rifiutato o non hanno scelto vengono contati, mai tracciati: una piccola richiesta per ogni visualizzazione di pagina, visualizzazione di prodotto, aggiunta al carrello e checkout avviato, senza cookie, storage, id o pixel pubblicitari, sommata ai totali giornalieri. Se ciò sia consentito per i tuoi visitatori è una questione legale, quindi ROASaurus non la attiva mai da solo. La pagina Consent nella dashboard mostra il tasso di consenso, e ordini e ricavi per stato del consenso.

Su Shopify

Con Respect visitor consent, lo script della vetrina e il pixel di checkout leggono la Customer Privacy API di Shopify, che viene compilata dal tuo banner dei cookie (quello di Shopify o un’app per il consenso). Quando un visitatore non ha dato il consenso marketing:

• non viene impostato alcun cookie visitor id e dalla loro navigazione non vengono salvati click id né UTM;
• i pixel del browser (Meta, TikTok, Snapchat, Pinterest, Reddit e gli altri) non vengono caricati;
• visualizzazioni di pagina, aggiunte al carrello e checkout vengono registrati senza visitor id, indirizzo IP, dettagli del browser o dati di contatto, e senza la query string dell’indirizzo della pagina, dove si trovano i click id e i tag di campagna. Non vengono inviati alle piattaforme pubblicitarie.

Se il visitatore cambia scelta in un secondo momento, anche durante il checkout, ROASaurus segue la nuova scelta. Se il negozio non ha alcun banner dei cookie, l’API di Shopify non segnala nulla e ROASaurus considera il visitatore consenziente, tranne in modalità Strict, quindi installa un banner prima di vendere nell’UE.

Shopify include nei dati dell’ordine l’indirizzo della landing page dell’ordine, e questo indirizzo può contenere tag di campagna e click id. ROASaurus lo usa solo nei tuoi report, come ripiego per l’attribuzione; non viene inviato alle piattaforme pubblicitarie.

Su altri negozi online

Lo script di ROASaurus legge la scelta del visitatore dal tuo strumento per il consenso: OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, qualsiasi banner IAB TCF, Google Consent Mode o la WP Consent API (che gli altri plugin per il consenso di WordPress compilano). Nelle impostazioni del consenso del negozio puoi scegliere lo strumento e associare le sue categorie ad analytics e marketing. Con un altro strumento, chiama tlq('consent', true) quando il visitatore accetta i cookie di marketing e tlq('consent', false) quando li rifiuta. Finché il visitatore non accetta, valgono le stesse regole di Shopify: nessun visitor id, nessun click id o dato di contatto e nessun pixel del browser. Se la pagina non ha alcuno strumento per il consenso, ROASaurus considera il visitatore consenziente, tranne in modalità Strict.

Il plugin WooCommerce salva i cookie di tracciamento su un ordine solo quando il visitatore ha accettato i cookie di marketing.

Acquisti inviati dal server

Gli acquisti provengono dai dati degli ordini (il webhook degli ordini di Shopify o il connettore della tua piattaforma), non dal browser. Per un ordine il cui visitatore ha rifiutato, non c’è alcun visitor id o click id da allegare. L’evento di acquisto viene comunque costruito a partire dall’ordine: include i dati del cliente presenti in quell’ordine, sottoposti ad hash, e l’indirizzo IP e il browser da cui è stato effettuato l’ordine. Va a Meta, TikTok, Snapchat, Pinterest, Reddit, X, Microsoft e Taboola; LinkedIn e le destinazioni aggiunte dopo non ricevono nulla per un ordine del genere, e Google Analytics 4 lo riceve come vendita anonima. Se la tua consulenza legale richiede il consenso preventivo anche per gli eventi di acquisto, contattaci prima di attivare gli acquisti server-side.

Cosa viene salvato e inviato

• Email, numeri di telefono e indirizzi vengono sottoposti ad hash con SHA-256 prima di essere inviati a una piattaforma pubblicitaria.
• Il cookie del visitor id _tl viene impostato sul dominio del tuo negozio per 365 giorni, solo con il consenso. ROASaurus legge i cookie propri delle piattaforme (come _fbp e _fbc) quando esistono.
• Nessun browser fingerprinting. Crawler, anteprime dei link e browser headless vengono filtrati sul server.
• I token delle piattaforme e le chiavi API sono cifrati a riposo.
• I proprietari scelgono per quanto tempo conservare gli eventi grezzi e i dati dei visitatori, da 30 giorni a 2 anni.
• I dati sono archiviati ad Amsterdam, nei Paesi Bassi. I sub-responsabili sono elencati nell’accordo sul trattamento dei dati.

Richieste GDPR

I webhook sulla privacy di Shopify vengono gestiti automaticamente. La cancellazione di un cliente rimuove i dati personali di quel cliente dagli ordini che ROASaurus conserva, oltre ai dati di contatto, agli indirizzi IP e ai dati del browser delle visite collegate a quegli ordini. La cancellazione di un negozio, 48 ore dopo la disinstallazione dell’app, elimina ogni record del negozio. Per una richiesta di dati di un cliente, ROASaurus raccoglie ciò che conserva su quel cliente (ordini, eventi della vetrina collegati, clic sugli annunci e risposte ai sondaggi), invia un’email ai proprietari e agli amministratori del negozio e permette loro di scaricarlo dalla pagina Shopify del negozio per inviarlo al cliente. Ogni richiesta è elencata lì. Rimuovere un negozio dalla dashboard ne elimina subito i dati. Per gli altri negozi online, scrivi a hello@roasaurus.com con l’indirizzo email del cliente e ci occupiamo noi della richiesta. Il nostro ruolo e i periodi di conservazione sono descritti nell’informativa sulla privacy.

Hai ancora problemi? Scrivici.